设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21803] 2021-03-23_网络攻防溯源普及和医疗数据安全总 ...
返回列表 发新帖
查看: 0|回复: 0

[21803] 2021-03-23_网络攻防溯源普及和医疗数据安全总结

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-03-23_网络攻防溯源普及和医疗数据安全总结 网 络 攻 防 溯 源 普 及 和 医 疗 数 据 安 全 总 结 E a s t m o u n t   L e m o n S e c   2 0 2 1 - 0 3 - 2 3 P a r t 1 ： 网 络 空 间 安 全 与 溯 源 ： 网 络 空 间 安 全 与 溯 源 P a r t 2 ： 网 络 安 全 攻 防 技 巧 ： 网 络 安 全 攻 防 技 巧 P a r t 3 ： 医 疗 数 据 安 全 防 护 ： 医 疗 数 据 安 全 防 护 P a r t 4 ： ： A P T 攻 击 医 疗 行 业 经 典 案 例 攻 击 医 疗 行 业 经 典 案 例 P a r t 5 ： 医 疗 安 全 防 御 建 议 ： 医 疗 安 全 防 御 建 议 作 者 作 为 网 络 安 全 的 小 白 ， 分 享 一 些 自 学 基 础 教 程 给 大 家 ， 主 要 是 关 于 安 全 工 具 和 实 践 操 作 的 在 线 笔 记 ， 希 望 您 们 喜 欢 。 同 时 ， 更 希 望 您 能 与 我 一 起 操 作 和 进 步 ， 后 续 将 深 入 学 习 网 络 安 全 和 系 统 安 全 知 识 并 分 享 相 关 实 验 ， 希 望 该 系 列 文 章 对 博 友 有 所 帮 助 。 作 者 在 此 感 谢 涛 哥 关 于 写 作 的 建 议 ， 后 面 也 会 慢 慢 完 善 公 众 号 写 作 方 法 ， 也 欢 迎 大 家 给 我 提 意 见 ， 一 起 完 善 和 进 步 。 提 前 祝 大 家 新 年 快 乐 ~ 声 明 ： 本 人 坚 决 反 对 利 用 教 学 方 法 进 行 犯 罪 的 行 为 ， 一 切 犯 罪 行 为 必 将 受 到 严 惩 ， 绿 色 网 络 需 要 我 们 共 同 维 护 ， 更 推 荐 大 家 了 解 它 们 背 后 的 原 理 ， 更 好 地 进 行 防 护 。 再 次 感 谢 大 家 关 注 娜 璋 之 家 。 P a r t 1 :   网 络 空 间 安 全 与 溯 源 网 络 空 间 安 全 与 溯 源 一 一 .   网 络 空 间 安 全 网 络 空 间 安 全 近 年 来 ， 网 络 安 全 事 件 和 恶 意 代 码 攻 击 层 出 不 穷 ， 它 们 给 国 家 、 社 会 和 个 人 带 来 了 严 重 的 危 害 ， 如 分 布 式 拒 绝 服 务 攻 击 ( D D o S ) 、 基 于 僵 尸 网 络 ( B o t n e t ) 的 攻 击 、 勒 索 病 毒 W a n n a C r y 、 高 级 可 持 续 威 胁 ( A P T ) 攻 击 、 利 用 远 程 控 制 木 马 的 信 息 窃 取 等 。 2 0 2 0 年 以 来 ， 恶 意 代 码 数 量 依 然 呈 上 升 的 趋 势 ， 尤 其 是 新 型 恶 意 代 码 ， 其 数 量 始 终 呈 逐 年 递 增 状 态 ， 这 对 网 络 空 间 安 全 造 成 了 极 大 的 威 胁 。 在 这 些 恶 意 代 码 攻 击 中 ，   攻 击 者 会 向 目 标 主 机 ( 受 害 主 机 ) ， 发 送 特 定 的 攻 击 数 据 包 或 执 行 恶 意 行 为 。 如 果 能 追 踪 这 些 攻 击 数 据 包 的 来 源 ， 定 位 攻 击 者 的 真 实 位 置 ， 受 害 主 机 不 但 可 以 采 用 应 对 措 施 ， 如 在 合 适 位 置 过 滤 攻 击 数 据 包 ， 而 且 可 以 对 攻 击 者 采 取 法 律 手 段 。 因 此 在 网 络 取 证 和 安 全 防 御 领 域 ， 网 络 攻 击 溯 源 一 直 是 一 个 热 点 问 题 。 下 图 展 示 了 A P T 组 织 L a z a r u s （ A P T 3 8 ） 的 重 大 攻 击 时 间 线 。 如 果 某 次 攻 击 发 生 时 或 发 生 前 ， 能 够 追 踪 溯 源 到 是 某 个 组 织 发 起 的 ， 那 是 不 是 就 能 有 效 避 免 一 次 安 全 攻 击 呢 ？ 参 考 及 推 荐 文 章 ： A P T 组 织 L a z a r u s 的 攻 击 历 程   -   F r e e b u f 深 信 服 团 队
网 络 攻 击 追 踪 溯 源 旨 在 利 用 各 种 手 段 追 踪 网 络 攻 击 的 发 起 者 。 相 关 技 术 提 供 了 定 位 攻 击 源 和 攻 击 路 径 ， 针 对 性 反 制 或 抑 制 网 络 攻 击 ， 以 及 网 络 取 证 能 力 ， 其 在 网 络 安 全 领 域 具 有 非 常 重 要 的 价 值 。 当 前 ， 网 络 空 间 安 全 形 势 日 益 复 杂 ， 入 侵 者 的 攻 击 手 段 不 断 提 升 ， 其 躲 避 追 踪 溯 源 的 手 段 也 日 益 先 进 ， 如 匿 名 网 络 、 网 络 跳 板 、 A N 网 、 网 络 隐 蔽 信 道 、 隐 写 术 等 方 法 在 网 络 攻 击 事 件 中 大 量 使 用 ， 这 些 都 给 网 络 攻 击 行 为 的 追 踪 溯 源 工 作 带 来 了 巨 大 的 技 术 挑 战 。 攻 击 链 通 常 分 为 七 个 阶 段 ： 侦 查 目 标 侦 查 目 标 ( R e c o n n a i s s a n c e ) ： 侦 查 目 标 ， 充 分 利 用 社 会 工 程 学 了 解 目 标 网 络 。 制 作 工 具 制 作 工 具 ( W e a p o n i z a t i o n ) ： 主 要 是 指 制 作 定 向 攻 击 工 具 ， 例 如 带 有 恶 意 代 码 的 p d f 文 件 或 o f f i c e 文 件 。 传 送 工 具 传 送 工 具 ( D e l i v e r y ) ： 输 送 攻 击 工 具 到 目 标 系 统 上 ， 常 用 的 手 法 包 括 邮 件 的 附 件 、 网 站 （ 挂 马 ） 、 U 盘 等 。 触 发 工 具 触 发 工 具 ( E x p l o i t a t i o n ) ： 利 用 目 标 系 统 的 应 用 或 操 作 系 统 漏 洞 ， 在 目 标 系 统 触 发 攻 击 工 具 运 行 。 安 装 木 马 安 装 木 马 ( I n s t a l l a t i o n ) ： 远 程 控 制 程 序 （ 特 马 ） 的 安 装 ， 使 得 攻 击 者 可 以 长 期 潜 伏 在 目 标 系 统 中 。 建 立 连 接 建 立 连 接 ( C o m m a n d   a n d   C o n t r o l ) ： 与 互 联 网 控 制 器 服 务 器 建 立 一 个 C 2 信 道 。 执 行 攻 击 执 行 攻 击 ( A c t i o n s   o n   O b j e c t i v e s ) ： 执 行 所 需 攻 击 行 为 ， 例 如 偷 取 信 息 、 篡 改 信 息 等 。 传 统 的 恶 意 代 码 攻 击 溯 源 方 法 是 通 过 单 个 组 织 的 技 术 力 量 ， 获 取 局 部 的 攻 击 相 关 信 息 ， 无 法 构 建 完 整 的 攻 击 链 条 ， 一 旦 攻 击 链 中 断 ， 往 往 会 使 得 前 期 大 量 的 溯 源 工 作 变 得 毫 无 价 值 。 同 时 ， 面 对 可 持 续 、 高 威 胁 、 高 复 杂 的 大 规 模 网 络 攻 击 ， 传 统 方 法 没 有 深 入 分 析 攻 击 组 织 间 的 关 系 ， 缺 乏 利 用 深 层 次 恶 意 代 码 语 义 知 识 ， 因 此 学 术 界 和 企 业 界 也 提 出 了 一 些 解 决 措 施 。 下 图 展 示 了 一 个 经 典 的 溯 源 案 例 。
为 了 进 一 步 震 慑 黑 客 组 织 与 网 络 犯 罪 活 动 ， 目 前 学 术 界 和 产 业 界 均 展 开 了 恶 意 代 码 溯 源 分 析 与 研 究 工 作 。 其 基 本 思 路 是 ： 同 源 分 析 同 源 分 析 ： 利 用 恶 意 样 本 间 的 同 源 关 系 发 现 溯 源 痕 迹 ， 并 根 据 它 们 出 现 的 前 后 关 系 判 定 变 体 来 源 。 恶 意 代 码 同 源 性 分 析 ， 其 目 的 是 判 断 不 同 的 恶 意 代 码 是 否 源 自 同 一 套 恶 意 代 码 或 是 否 由 同 一 个 作 者 、 团 队 编 写 ， 其 是 否 具 有 内 在 关 联 性 、 相 似 性 。 从 溯 源 目 标 上 来 看 ， 可 分 为 恶 意 代 码 家 族 溯 源 及 作 者 溯 源 。 家 族 溯 源 家 族 溯 源 ： 家 族 变 体 是 已 有 恶 意 代 码 在 不 断 的 对 抗 或 功 能 进 化 中 生 成 的 新 型 恶 意 代 码 ， 针 对 变 体 的 家 族 溯 源 是 通 过 提 取 其 特 征 数 据 及 代 码 片 段 ， 分 析 它 们 与 已 知 样 本 的 同 源 关 系 ， 进 而 推 测 可 疑 恶 意 样 本 的 家 族 。 例 如 ， K i n a b l e 等 人 提 取 恶 意 代 码 的 系 统 调 用 图 ， 采 用 图 匹 配 的 方 式 比 较 恶 意 代 码 的 相 似 性 ， 识 别 出 同 源 样 本 ， 进 行 家 族 分 类 。 作 者 溯 源 作 者 溯 源 ： 恶 意 代 码 作 者 溯 源 即 通 过 分 析 和 提 取 恶 意 代 码 的 相 关 特 征 ， 定 位 出 恶 意 代 码 作 者 特 征 ， 揭 示 出 样 本 间 的 同 源 关 系 ， 进 而 溯 源 到 已 知 的 作 者 或 组 织 。 例 如 ， G o s t e v 等 通 过 分 析 S t u x n e t 与 D u q u 所 用 的 驱 动 文 件 在 编 译 平 台 、 时 间 、 代 码 等 方 面 的 同 源 关 系 ， 实 现 了 对 它 们 作 者 的 溯 源 。 2 0 1 5 年 ， 针 对 中 国 的 某 A P T 攻 击 采 用 了 至 少 4 种 不 同 的 程 序 形 态 、 不 同 编 码 风 格 和 不 同 攻 击 原 理 的 木 马 程 序 ， 潜 伏 3 年 之 久 ， 最 终 3 6 0 天 眼 利 用 多 维 度 的 “ 大 数 据 ” 分 析 技 术 进 行 同 源 性 分 析 ， 进 而 溯 源 到 “ 海 莲 花 ” 黑 客 组 织 。 网 络 攻 击 追 踪 溯 源 按 照 追 踪 的 深 度 和 精 准 度 可 分 为 ： 追 踪 溯 源 攻 击 主 机 追 踪 溯 源 攻 击 控 制 主 机 追 踪 溯 源 攻 击 者 追 踪 溯 源 攻 击 组 织 机 构 常 用 方 法 包 括 域 名 / I P 地 址 分 析 、 入 侵 日 志 监 测 、 全 流 量 分 析 、 同 源 分 析 、 攻 击 模 型 分 析 等 。 为 了 进 一 步 防 御 网 络 犯 罪 活 动 和 威 慑 黑 客 组 织 ， 目 前 学 术 界 和 产 业 界 均 展 开 了 恶 意 代 码 溯 源 分 析 与 研 究 工 作 。 网 络 追 踪 溯 源 常 用 工 具 包 括 ： 磁 盘 和 数 据 捕 获 工 具 文 件 查 看 器 文 件 分 析 工 具 注 册 表 分 析 工 具 互 联 网 分 析 工 具 电 子 邮 件 分 析 工 具 移 动 设 备 分 析 工 具 网 络 流 量 取 证 工 具 数 据 库 取 证 工 具 逆 向 分 析 工 具
二 二 .   学 术 界 溯 源 学 术 界 溯 源 学 术 界 旨 在 采 用 静 态 或 动 态 的 方 式 获 取 恶 意 代 码 的 特 征 信 息 ， 通 过 对 恶 意 代 码 的 特 征 学 习 ， 建 立 不 同 类 别 恶 意 代 码 的 特 征 模 型 ， 通 过 计 算 待 检 测 恶 意 代 码 针 对 不 同 特 征 类 别 的 相 似 性 度 量 ， 指 导 恶 意 代 码 的 同 源 性 判 定 。 常 见 的 恶 意 代 码 溯 源 主 要 包 括 4 个 阶 段 ： 特 征 提 取 、 特 征 预 处 理 、 相 似 性 计 算 、 同 源 判 定 特 征 提 取 、 特 征 预 处 理 、 相 似 性 计 算 、 同 源 判 定 。 各 阶 段 间 的 流 程 关 系 如 下 图 所 示 。 参 考 宋 老 师 《 恶 意 代 码 演 化 与 溯 源 技 术 研 究 》 上 图 是 将 溯 源 对 象 W i n d o w s 平 台 的 P E 恶 意 文 件 或 A n d r o i d 平 台 的 A P K 恶 意 文 件 输 入 溯 源 系 统 ， 经 过 特 征 提 取 、 特 征 预 处 理 、 相 似 性 计 算 、 同 源 分 析 获 取 溯 源 结 果 ， 最 终 判 定 攻 击 家 族 或 作 者 。 1 .   特 征 提 取 特 征 提 取 特 征 提 取 是 溯 源 分 析 过 程 的 基 础 ， 具 有 同 源 性 的 恶 意 代 码 是 通 过 它 们 的 共 有 特 征 与 其 他 代 码 区 分 开 来 的 。 所 提 取 的 特 征 既 要 反 映 出 恶 意 代 码 的 本 质 和 具 有 同 源 性 恶 意 代 码 之 间 的 相 似 性 ， 又 要 满 足 提 取 的 有 效 性 。 依 据 溯 源 目 的 ， 溯 源 特 征 提 取 包 括 ：
溯 源 家 族 的 特 征 提 取 溯 源 作 者 的 特 征 提 取 F a r u k i 等 在 字 节 码 级 别 提 取 统 计 性 强 的 序 列 特 征 ， 包 括 指 令 、 操 作 码 、 字 节 码 、 A P I 代 码 序 列 等 。 P e r d i s c i   R 等 通 过 n - g r a m 提 取 字 节 码 序 列 作 为 特 征 。 K i   Y 等 提 出 了 捕 获 运 行 过 程 中 的 A P I 序 列 作 为 特 征 ， 利 用 生 物 基 因 序 列 检 测 工 具 C l u s t a l X 对 A P I 序 列 进 行 相 似 性 分 析 ， 得 到 恶 意 代 码 的 同 源 性 判 定 。 D N A D r o i d 使 用 P D G 作 为 特 征 ， D r o i d S i m 是 一 种 基 于 组 件 的 C F G 来 表 示 相 似 性 代 码 特 征 ， 与 早 期 的 方 法 相 比 ， 该 系 统 检 测 代 码 重 用 更 准 确 。 下 图 展 示 了 恶 意 行 为 特 征 提 取 过 程 ， 它 从 用 户 态 到 核 心 态 文 件 处 理 ， 再 到 核 心 态 磁 盘 处 理 ， 有 一 系 列 的 函 数 进 行 H o o k i n g 和 I n l i n e H o o k i n g 进 行 整 体 的 行 为 监 控 ， 可 以 帮 助 我 们 进 行 溯 源 工 作 。 2 .   特 征 预 处 理 特 征 预 处 理 特 征 提 取 过 程 中 会 遇 到 不 具 有 代 表 性 、 不 能 量 化 的 原 始 特 征 ， 特 征 预 处 理 针 对 这 一 问 题 进 行 解 决 ， 以 提 取 出 适 用 于 相 似 性 计 算 的 代 表 性 特 征 。 特 征 预 处 理 一 方 面 对 初 始 特 征 进 行 预 处 理 ， 另 一 方 面 为 相 似 性 计 算 提 供 基 础 数 据 。 常 见 的 特 征 类 型 包 括 序 列 特 征 和 代 码 结 构 特 征 。 序 列 特 征 预 处 理 序 列 特 征 预 处 理 ： 包 括 信 息 熵 评 估 、 正 则 表 达 式 转 换 、 N - g r a m s 序 列 、 序 列 向 量 化 、 权 重 量 化 法 等 。 序 列 特 征 预 处 理 将 初 始 特 征 中 冗 余 特 征 消 除 、 特 征 语 义 表 达 式 增 强 、 特 征 量 化 等 以 便 进 行 相 似 性 计 算 。 L .   W u 通 过 分 析 恶 意 软 件 敏 感 A P I 操 作 以 及 事 件 等 ， 将 A P I 序 列 特 征 转 换 为 正 则 表 达 式 ， 并 在 发 生 类 似 的 正 则 表 达 式 模 式 时 检 测 恶 意 代 码 。 I B M 研 究 小 组 先 将 N - g r a m 方 法 应 用 于 恶 意 软 件 分 析 中 ， 使 用 N - g r a m 的 统 计 属 性 预 测 给 定 序 列 中 下 个 子 序 列 ， 从 而 进 行 相 似 度 计 算 。 K o l o s n j a j i 等 提 出 对 A P I 调 用 序 列 进 行 N - g r a m 处 理 获 取 子 序 列 ， 采 用 N - g r a m 方 法 将 A P I 调 用 序 列 转 换 为 N - g r a m 序 列 ， 实 现 过 程 下 图 所 示 。 代 码 结 构 特 征 预 处 理 代 码 结 构 特 征 预 处 理 ： 在 相 似 度 比 较 时 存 在 边 、 节 点 等 匹 配 问 题 即 子 图 同 构 算 法 复 杂 性 ， 同 时 代 码 结 构 特 征 中 存 在 冗 余 结 构 ， 因 此 除 去 冗 余 、 保 留 与 恶 意 操 作 相 关 的 代 码 结 构 是 预 处 理 的 主 要 目 的 。 常 见 的 方 法 包 括 A P I 调 用 图 预 处 理 、 C F G 图 预
处 理 、 P D G 图 预 处 理 等 。 3 .   相 似 性 计 算 相 似 性 计 算 溯 源 旨 在 通 过 分 析 样 本 的 同 源 性 定 位 到 家 族 或 作 者 ， 样 本 的 同 源 性 可 以 通 过 分 析 代 码 相 似 性 来 获 取 。 相 似 性 计 算 旨 在 衡 量 恶 意 代 码 间 相 似 度 ， 具 体 为 采 用 一 种 相 似 性 模 型 对 恶 意 代 码 的 特 征 进 行 运 算 。 根 据 预 处 理 特 征 类 型 的 不 同 以 及 溯 源 需 求 、 效 率 、 准 确 性 等 差 异 ， 采 用 不 同 的 相 似 性 运 算 方 法 。 目 前 比 较 流 行 的 相 似 性 计 算 方 法 主 要 集 中 在 对 集 合 、 序 列 、 向 量 、 图 等 特 征 表 现 形 式 的 处 理 。 Q i a o 等 基 于 集 合 计 算 相 似 性 ， 在 不 同 恶 意 样 本 A P I 集 合 的 相 似 性 比 较 中 采 用 了 J a c c a r d 系 数 方 法 ， 将 为 A 、 B 两 个 集 合 的 交 集 在 并 集 中 所 占 的 比 例 作 为 相 似 度 ， 比 例 值 越 大 ， 证 明 越 相 似 ， 如 公 式 所 示 。 F a r u k i 等 提 出 了 采 用 S D h a s h 相 似 性 散 列 技 术 构 建 样 本 的 签 名 序 列 ， 并 采 用 汉 明 距 离 法 对 序 列 进 行 相 似 性 计 算 ， 从 而 识 别 同 源 性 样 本 。 S u a r e z - T a n g i l   等 用 数 据 挖 掘 算 法 中 向 量 空 间 模 型 展 示 家 族 的 恶 意 代 码 特 征 形 式 ， 将 同 家 族 提 取 出 来 的 具 有 代 表 性 的 C F G 元 素 作 为 特 征 中 维 度 ， 采 用 余 弦 算 法 对 不 同 家 族 的 向 量 空 间 模 型 进 行 相 似 度 计 算 ， 根 据 余 弦 值 来 判 断 它 们 的 相 似 性 ， 从 而 识 别 出 相 似 性 样 本 ， 进 而 归 属 到 对 应 的 家 族 。 用 于 比 较 向 量 的 余 弦 相 似 度 反 映 了 恶 意 代 码 间 的 相 似 性 ， 其 具 体 公 式 如 公 式 所 示 。 C e s a r e 等 提 出 了 最 小 距 离 匹 配 度 量 法 ， 比 较 不 同 样 本 的 C F G 图 特 征 的 相 似 性 。 K i n a b l e 等 通 过 静 态 分 析 恶 意 代 码 的 系 统 调 用 图 ， 采 用 图 匹 配 的 方 式 计 算 图 相 似 性 得 分 ， 该 得 分 近 似 于 图 的 编 辑 距 离 。 利 用 该 得 分 比 较 样 本 的 相 似 性 ， 采 用 聚 类 算 法 将 样 本 进 行 聚 类 ， 实 现 家 族 分 类 。 4 .   同 源 分 析 同 源 分 析 学 术 界 常 见 的 同 源 判 定 方 法 主 要 包 括 基 于 聚 类 算 法 的 同 源 判 定 基 于 聚 类 算 法 的 同 源 判 定 、 基 于 神 经 网 络 的 同 源 判 定 基 于 神 经 网 络 的 同 源 判 定 等 。 K i m 等 采 用 D B S C A N 算 法 对 基 于 调 用 图 聚 类 ， 发 现 类 似 的 恶 意 软 件 。 F e i z o l l a h 等 提 出 采 用 层 聚 类 算 法 ， 构 建 家 族 间 演 化 模 型 ， 进 而 发 掘 家 族 功 能 的 演 化 。 N i u 等 提 出 了 层 次 聚 类 和 密 度 聚 类 算 法 结 合 的 快 速 聚 类 算 法 对 操 作 码 序 列 特 征 进 行 聚 类 ， 以 识 别 恶 意 软 件 变 体 ， 该 方 法 识 别 变 体 效 率 较 高 。
神 经 网 络 是 一 种 多 层 网 络 的 机 器 学 习 算 法 ， 可 以 处 理 多 特 征 以 及 复 杂 特 征 的 同 源 判 定 。 基 本 思 想 为 ： 将 样 本 特 征 作 为 输 入 层 数 据 ， 然 后 不 断 调 整 神 经 网 络 参 数 ， 直 到 输 出 的 样 本 与 该 样 本 是 一 种 同 源 关 系 未 为 止 。 它 会 将 恶 意 代 码 特 征 送 输 入 层 ， 即 可 判 断 恶 意 代 码 的 同 源 性 。 赵 炳 麟 等 提 出 了 基 于 神 经 网 络 的 同 源 判 定 方 法 ， 其 整 体 实 现 框 架 如 下 图 所 示 。 三 三 .   企 业 界 溯 源 企 业 界 溯 源 产 业 界 除 了 采 用 与 学 术 界 类 似 的 同 源 判 定 方 法 之 外 ， 还 会 通 过 关 联 的 方 法 对 恶 意 代 码 进 行 溯 源 。 产 业 界 的 溯 源 意 图 除 了 溯 源 出 编 写 恶 意 代 码 作 者 、 恶 意 代 码 家 族 之 外 ， 还 要 挖 掘 出 攻 击 者 及 攻 击 者 背 后 的 真 正 意 图 ， 从 而 遏 制 攻 击 者 的 进 一 步 行 动 。 产 业 界 与 学 术 界 溯 源 方 法 的 差 异 主 要 表 现 在 特 征 提 取 和 同 源 判 定 两 个 方 面 ： 在 特 征 提 取 上 ， 产 业 界 更 倾 向 于 从 代 码 结 构 、 攻 击 链 中 提 取 相 似 性 特 征 。 在 同 源 判 定 上 ， 除 了 采 用 与 已 有 的 历 史 样 本 进 行 相 似 度 聚 类 分 析 之 外 ， 产 业 界 还 会 采 用 一 些 关 联 性 分 析 方 法 。 相 比 学 术 界 溯 源 特 征 ， 产 业 界 溯 源 特 征 更 加 详 细 全 面 ， 信 息 复 杂 度 大 。 因 此 ， 学 术 界 的 同 源 判 定 方 法 并 不 能 完 全 用 于 产 业 界 各 类 特 征 的 相 似 性 分 析 中 ， 常 见 产 业 界 溯 源 方 法 分 类 如 下 表 所 示 。 下 面 参 考 绿 盟 李 东 宏 老 师 文 章 h t t p : / / b l o g . n s f o c u s . n e t / t r a c e - s o u r c e / 1 .   恶 意 攻 击 流 程 及 溯 源 方 法 恶 意 攻 击 流 程 及 溯 源 方 法 恶 意 样 本 溯 源 追 踪 主 要 去 了 解 攻 击 者 或 者 团 队 的 意 图 。 恶 意 攻 击 的 活 动 大 概 有 如 下 7 步 骤 ： R e c o n n a i s s a n c e ： 侦 查 ， 充 分 的 社 会 工 程 学 了 解 目 标 。 W e a p o n i z a t i o n ： ： 定 向 攻 击 工 具 的 制 作 。 常 见 的 工 具 交 付 形 态 是 带 有 恶 意 代 码 的 p d f 文 件 或 o f f i c e 文 件 。 D e l i v e r y ： 把 攻 击 工 具 输 送 到 目 标 系 统 上 。 A P T 攻 击 者 最 常 用 这 三 种 来 传 送 攻 击 工 具 ， 包 括 邮 件 附 件 、 网 站 （ 挂 马 ） 、 U S B 等 移 动 存 储 。 E x p l o i t a t i o n ： 攻 击 代 码 在 目 标 系 统 触 发 ， 利 用 目 标 系 统 的 应 用 或 操 作 系 统 漏 洞 控 制 目 标 。 I n s t a l l a t i o n ： 远 程 控 制 程 序 的 安 装 。 使 得 攻 击 者 可 以 长 期 潜 伏 在 目 标 系 统 中 。 C o m m a n d   a n d   C o n t r o l   ( C 2 )   ： 被 攻 破 的 主 机 一 般 会 与 互 联 网 控 制 器 服 务 器 建 立 一 个 C 2 信 道 ， 即 与 C 2 服 务 器 建 立 连 接 。 A c t i o n s   o n   O b j e c t i v e s ： 经 过 前 面 六 个 过 程 ， 攻 击 者 后 面 主 要 的 行 为 包 括 ： 偷 取 目 标 系 统 的 信 息 ， 破 坏 信 息 的 完 整 性 及 可 用 性 等 。 进 一 步 以 控 制 的 机 器 为 跳 转 攻 击 其 它 机 器 ， 扩 大 战 果 。
恶 意 样 本 的 追 踪 溯 源 需 要 以 当 前 的 恶 意 样 本 为 中 心 ， 通 过 对 静 态 特 征 和 动 态 行 为 的 分 析 ， 解 决 如 下 问 题 ： 谁 发 动 的 攻 击 ？ 攻 击 背 景 是 什 么 ？ 攻 击 的 意 图 是 什 么 ？ 谁 编 写 的 样 本 ？ 样 本 使 用 了 哪 些 攻 击 技 术 ？ 攻 击 过 程 中 使 用 了 那 些 攻 击 工 具 ？ 整 个 攻 击 过 程 路 径 是 怎 样 的 ？ 企 业 界 恶 意 样 本 溯 源 可 采 取 如 下 方 法 ： 全 流 量 分 析 全 流 量 分 析 同 源 分 析 同 源 分 析 入 侵 日 志 入 侵 日 志 域 名 域 名 / I P 攻 击 模 型 攻 击 模 型 / 攻 击 框 架 攻 击 框 架 2 .   域 名 域 名 / I P 这 种 溯 源 方 法 是 最 基 本 的 方 法 ， 通 过 对 攻 击 者 使 用 的 域 名 和 I P 地 址 进 行 分 析 ， 挖 掘 攻 击 源 头 。 查 询 域 名 的 w h o i s 信 息 ， 可 以 关 联 到 攻 击 者 部 分 信 息 ， 如 注 册 名 、 注 册 邮 箱 、 注 册 地 址 、 电 话 、 注 册 时 间 、 服 务 商 等 。
案 例 分 析 案 例 分 析 C h e c k p o i n t 经 过 细 致 分 析 后 ， 最 终 归 纳 出 一 个 首 要 攻 击 者 ， 即 昵 称 为 “ N e x x u s   Z e t a ” 的 一 个 h a c k e r ， 原 因 在 于 攻 击 者 在 注 册 僵 尸 网 络 的 某 个 C & C 域 名 （ n e x u s i o t s o l u t i o n s . n e t ） 时 ， 所 使 用 的 邮 箱 地 址 包 含 相 关 信 息 。 该 邮 件 地 址 （ n e x u s z e t a 1 3 3 7 @ g m a i l . c o m ） 与 C & C 域 名 有 一 些 交 集 ， 因 此 怀 疑 这 个 地 址 并 不 是 一 次 性 邮 件 地 址 ， 可 以 根 据 该 地 址 来 揭 晓 攻 击 者 的 真 实 身 份 。 当 搜 索 N e x u s   Z e t a   1 3 3 7 时 ， 在 H a c k F o r u m s 上 找 到 了 一 个 活 跃 的 成 员 ， 该 成 员 的 用 户 昵 称 为 “ N e x u s   Z e t a ” ， 自 2 0 1 5 年 8 月 起 已 经 是 H a c k F o r u m s 的 一 份 子 。 虽 然 这 个 人 在 这 种 论 坛 上 活 跃 度 很 低 ， 但 他 发 表 了 几 篇 帖 子 ， 从 这 些 帖 子 中 并 没 有 发 现 他 的 专 业 水 平 有 多 高 。 有 趣 的 是 ， 他 最 近 关 注 了 如 何 建 立 类 似 M i r a i 的 I o T 僵 尸 网 络 。 N e x u s Z e t a 在 社 交 媒 体 上 也 颇 为 活 跃 ， 主 要 是 在 T w i t t e r 以 及 G i t h u b 上 ， 他 在 这 两 个 平 台 上 都 公 布 了 自 己 的 I o T 僵 尸 网 络 项 目 。 实 际 上 ， 这 个 人 还 将 其 G i t h u b 账 户 关 联 到 前 面 提 到 的 那 个 恶 意 域 名 （ n e x u s i o t s o l u t i o n s . n e t ） 。 分 析 人 员 也 找 到 了 他 所 使 用 的 S k y p e 以 及 S o u n d C l o u d 账 户 ， 使 用 人 名 为 C a l e b   W i l s o n （ c a l e b . w i l s o n 3 7   /   C a l e b   W i l s o n 3 7 ） ， 因 此 溯 源 到 该 作 者 ， 但 遗 憾 的 是 无 法 确 定 这 个 名 字 是 否 就 是 其 真 实 姓 名 。
-   参 考 文 献 ： h t t p s : / / r e s e a r c h . c h e c k p o i n t . c o m / g o o d - z e r o - d a y - s k i d d i e / 3 .   入 侵 日 志 入 侵 日 志 这 种 溯 源 分 析 方 法 偏 向 于 主 机 取 证 分 析 ， 攻 击 者 在 入 侵 到 主 机 后 的 行 为 分 析 。 对 攻 击 者 留 下 的 大 量 操 作 日 志 进 行 分 析 后 ， 可 以 提 取 相 关 攻 击 者 的 信 息 ， 包 括 ： 连 接 服 务 器 使 用 V P S 信 息 。 登 陆 主 机 后 ， 一 般 为 了 维 持 对 主 机 的 访 问 权 限 ， 会 尝 试 创 建 自 己 的 账 号 及 密 码 。 攻 击 者 为 了 偷 取 数 据 ， 使 用 的 f t p 或 者 数 据 服 务 器 信 息 。 通 过 对 攻 击 者 的 登 陆 时 间 进 行 分 析 ， 可 以 基 本 定 位 所 在 大 区 域 （ 北 半 球 ， 南 半 球 ） 。 登 陆 主 机 后 的 操 作 模 型 ， 不 同 的 攻 击 者 ， 入 侵 成 功 后 进 行 的 行 为 有 差 异 ， 每 个 人 都 有 自 己 的 行 为 指 纹 特 征 。 简 单 举 个 例 子 ， 不 少 攻 击 者 习 惯 使 用 自 动 化 的 工 具 ， 去 提 取 主 机 上 的 敏 感 信 息 （ 网 站 ， 邮 箱 ， 比 特 币 ， 网 银 等 账 号 密 码 ） ， 入 侵 成 功 后 （ 钓 鱼 ， 社 工 ， 水 坑 攻 击 等 ） ， 会 在 受 害 者 机 器 上 安 装 间 谍 软 件 ， 进 行 主 机 行 为 监 控 ， 并 且 定 时 将 截 获 的 敏 感 信 息 上 传 到 服 务 上 。 大 多 使 用 三 种 通 信 方 式 窃 取 敏 感 信 息 ： f t p 、 s m t p 、 h t t p 。
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:21 , Processed in 0.695890 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表